Oracle APEX集成Auth0认证时，如何提取回调的code参数值？

1. APEX是否自动存储code参数？ #

默认情况下，APEX的标准OIDC认证方案会自动完成code换token/id_token的流程，不会把原始code参数暴露或存储到可直接访问的位置——这个参数是内部处理的，用完就会丢弃。你能拿到的#sub#这类值，是从解析后的id_token中提取的。

2. 如何获取code参数？ #

如果必须拿到这个code，有两种可行方案：

• 方案一：利用认证方案的预处理逻辑
  在你的OIDC认证方案中，找到「Authentication Function」或「Pre-Authentication Procedure」（具体选项依APEX版本而定），在APEX执行token交换前，通过请求参数读取code：

  declare
    l_code varchar2(2000);
  begin
    l_code := apex_application.get_request_parameter('code');
    -- 可将code存入会话变量或自定义表
    apex_util.set_session_state('P0_AUTH0_CODE', l_code);
  end;
  

  注意：必须在APEX完成code交换前执行这段逻辑，否则code会因已被使用而失效。

• 方案二：替换标准回调程序
  若要完全接管回调流程，需自定义PL/SQL程序替代apex_authentication.callback：

  1. 创建自定义回调过程：

     create or replace procedure auth0_custom_callback is
       l_code varchar2(2000);
       l_state varchar2(2000);
       l_username varchar2(100);
     begin
       -- 直接读取请求参数
       l_code := apex_application.get_request_parameter('code');
       l_state := apex_application.get_request_parameter('state');
       
       -- 这里执行你需要的后续交互逻辑，比如用code调用Auth0的token接口
       -- 示例：从Auth0返回的信息中提取用户名
       -- l_username := 你的Auth0接口调用返回的用户名;
       
       -- 手动完成APEX认证会话创建
       apex_authentication.login(
         p_username => l_username,
         p_password => null,
         p_session_id => apex_application.g_instance
       );
       
       -- 重定向回原请求页面
       apex_util.redirect_url(apex_application.g_flow_request);
     end;
     /
     

  2. 在Auth0的应用配置中，将回调URL修改为指向该自定义程序，例如https://你的APEX站点/ords/你的工作区/auth0_custom_callback
  3. 在APEX认证方案中选择「Custom」类型，关联这个自定义回调逻辑。

3. 关键注意事项 #

• Auth0的code是一次性有效，拿到后需立即使用，否则会失效。
• 自定义回调时必须手动验证state参数，防止CSRF攻击——APEX标准回调会自动处理这一步，自定义时别遗漏。

内容的提问来源于stack exchange，提问作者Fat P